深信服XDR多源数据融合分析创新技术揭秘

转自：中国网

“现网简单堆砌各类的流量监测和终端检测设备，多方设备单打独斗，以往基于SIEM、SOC等技术手段和方案，并投入大量人力与成本，依然存在高价值告警难以精准定位、响应处置效率低下等问题……”

这是用户在实战攻防演练前，常常表达的担忧。

如何将传统设备单打独斗的模式，转变成真正有效的多方设备协同作战的模式？深信服XDR的多源数据融合分析能力，精准定位高价值事件，提升研判效率，给用户交上了一份简单有效的答卷。

8月9日，XDR平台成功将1起扫描攻击定性为失败，其中，两家第三方厂商分别定性攻击为尝试和失败，XDR通过多源数据关联分析取得最优检测结果。

8月14日，XDR平台通过聚合分析SIP和两家第三方厂商流量检测设备的告警，发现1起Webshell上传成功攻击事件，并完整还原故事线，及时采取响应措施遏制攻击。

8月19日，XDR平台融合两家第三方厂商流量检测设备的多条重复告警，针对攻击者同一次扫描攻击行为，精准生成出1条扫描器攻击告警。

在今年的实战攻防演练期间，某国家单位依托深信服XDR作为总值守平台，通过多源数据融合分析，发现5起高价值事件，研判效率提升65％。

该用户直言：“深信服XDR的效果，颠覆我对安全运营产品的认知。”

深信服XDR平台如何实现多源数据融合分析？

首先，我们要理解，什么是Open XDR？

基于以AI为内核的「开放平台＋领先组件＋云端服务」理念，深信服提出了「Open XDR」的概念：一种基于XDR平台的开放融合解决方案，用于满足三方安全设备数据接入的通用能力。

对于已经建设安全运营中心的用户来说，基于Open XDR能力，深信服XDR平台也可以成为其聚焦威胁运营、提升检测效果的子平台。

在数据采集层面，XDR可与第三方设备数据和自有设备数据进行融合分析。

将碎片化的安全设备日志进行有效融合分析，需要经过数据治理与关联分析两道关键步骤。

然而，因技术手段有限，多源数据治理，存在数据质量差、建设周期长、建设成本高等业界难题，深信服XDR又是如何力排万难的呢？

多源数据治理创新技术大起底——XStream

深信服XDR创新采用XStream技术，通过整合多种AI技术，实现三方设备自动化接入，大幅提升多源数据接入的效率，包含自动接入引擎、威胁类型自动理解引擎、智能校验引擎。

1．AI自动接入解析

根据接入的第三方数据动态生成对应的自动解析规则，分为采集过滤、识别匹配、规则生成等主要流程，接入设备可快速学习适配、快速验证接入效果。

2．深度理解威胁类型

在实时解析的过程中，将未见过的三方日志规则类型发送到AI模型做此类规则的深度理解，将规则对应的威胁类型写入缓存中，当遇上同类规则时，即可准确理解其对应的威胁类型，由此提升告警研判效率，快速挖掘高价值告警。

3．智能校验载荷

对安全日志进行payload二次检测，输出二次检测后的安全日志，可增强对原始三方日志的检测能力，纠正威胁等级。

多源数据关联分析关键技术——网端关联

依托XStream技术完成多源数据治理后，数据将流转到二级告警聚合引擎，结合关键的网端关联能力，XDR平台由此生成精准的攻击结果。

1．强关联

当网端两侧检测到了同一个命令执行、可疑文件行为或网络请求，可以通过命令、文件、攻击类型因子进行准确匹配。

2．逻辑关联

当攻击阶段存在攻防场景相关性，通过网络侧攻击阶段的关联，可以判断终端侧的可疑命令执行。

3．弱关联

通过推测还原事件轮廓，跨阶段关联不同设备的告警，可以一定程度上解决断链难题。

多源数据效果可视化展现——数据质量分级

需要强调的是，多源数据融合分析的核心在于数据质量。

在高质量的数据的基础之上，结合XStream、网端关联分析能力，深信服XDR才能保障威胁检测分析的效果与效率。

因此，深信服XDR将数据质量分为三个层级，实现三方组件采集数据能力和质量的可视化，帮助用户衡量价值和效果。

针对不同第三方设备的数据，深信服XDR可展现不同安全效果所需的关键字段，以便衡量各类三方数据的质量。

总之，基于以AI为内核的「开放平台＋领先组件＋云端服务」，深信服XDR平台通过自有和第三方的流量采集与端点采集组件，将多源数据聚合分析，准确生成安全事件并自动回溯完整攻击链，结合安全GPT等AI技术赋能，实现「秒级闭环，百倍提效，千万级降本」的效率和能力跃升，构建安全运营的全新范式，助力每一位用户「安全领先一步」。

来源：中国网